Arquitectura: módulos, base de datos, usuarios y permisos

Libro El ERP completo, capítulo 4 (parte I: Fundamentos). Anterior: de procesos a pantallas. Índice en la Escuela.

Al terminar este capítulo vas a poder:

1. Describir las tres capas de un sistema y explicar por qué importa que estén separadas.
2. Reconocer si dos módulos están integrados de verdad o solo se copian datos.
3. Diseñar los roles y permisos de tu empresa con separación de funciones donde hay plata.
4. Evaluar la continuidad de un sistema (copias, recuperación, propiedad de los datos) y hacerle a cualquier proveedor las ocho preguntas que lo desnudan.

El caso: Vidriería Ancona, segunda parte

Después de remodelar sus procesos (capítulo 3), la dueña de Vidriería Ancona, Rosa, quiso entender qué era lo que había comprado dos años antes y qué debía exigir ahora. Preguntó al proveedor tres cosas y recibió tres respuestas incómodas. ¿Dónde están mis datos? "En nuestro servidor; no se preocupe." ¿Puedo definir yo quién ve los precios y quién no? "Eso lo configuramos nosotros, pídalo por mail." Si dejamos de trabajar juntos, ¿me llevo todo? "Le exportamos un Excel."

Mientras tanto, dentro del taller, cualquier usuario podía modificar cualquier cosa: un operario cambió por error el precio de una lista y nadie supo quién fue; el administrativo que cargaba las facturas de los proveedores era el mismo que las pagaba; y un día el disco del servidor del proveedor falló y Ancona estuvo tres días sin sistema y perdió dos semanas de movimientos, porque la última copia era de catorce días atrás.

Rosa no necesitaba aprender a programar. Necesitaba el mapa de lo que hay adentro de un sistema y las preguntas correctas. Este capítulo es ese mapa.

1. Tres capas

Todo sistema de gestión, del más simple al más grande, tiene tres capas, y entender la separación entre ellas explica casi todo lo demás.

1. Los datos. Una base de datos: tablas de clientes, productos, pedidos, movimientos, facturas, horas. Es el activo más valioso de la empresa después de la gente; todo lo demás se puede rehacer, los datos no. Viven organizados según el modelo relacional del capítulo 2: cada hecho una vez, relacionado por claves.
2. Las reglas. El código que dice qué se puede hacer con esos datos: calcular un costo, pasar un pedido a producción, descontar stock, generar una factura. Acá viven los estados, las transiciones, las reglas y las excepciones del capítulo 3. Es la parte que hace que el sistema sea tu sistema y no una planilla con botones.
3. Las pantallas. Lo que ve cada persona según su rol: el vendedor su pipeline y su cotizador, el depósito sus movimientos, el dueño su tablero. Hoy casi siempre son páginas web, y funcionan igual en la oficina, en la tablet de la máquina y en el celular del camión.

Que estén separadas importa por dos razones. La primera es práctica: se pueden rediseñar pantallas sin tocar reglas (la pantalla de "terminar etapa" de Ancona se simplificó sin cambiar cómo se calcula el costo), y agregar reglas sin tocar datos. La segunda es de propiedad: los datos son tuyos aunque el programa sea de otro, y tienen que poder salir enteros, en un formato que cualquier otro sistema lea.

2. Una base de datos, muchos módulos

Un módulo (ventas, compras, stock, producción, finanzas, personas) es un conjunto de pantallas y reglas sobre una parte de los datos. Lo que hace que un ERP sea completo, como vimos en el capítulo 1, es que todos los módulos trabajan sobre la misma base: el producto que cotiza ventas es el que descuenta stock y el que costea producción, el mismo registro, no una copia.

Cuando te ofrecen "integrar" dos programas, la pregunta es una: ¿comparten la base, o uno copia datos al otro cada tanto? Lo segundo tiene nombre técnico (sincronización) y nombre práctico: entre copia y copia hay dos verdades. El stock que ve el vendedor a las 11 no es el que ve el depósito, porque la copia corrió a las 3 de la mañana. Y cuando la copia falla, nadie se entera hasta que un cliente reclama.

Hay integraciones legítimas por copia o por interfaz (sección 7), con sistemas de terceros que no pueden compartir tu base: el organismo fiscal, el banco, una tienda online. Lo que no es legítimo es llamar "sistema integrado" a cuatro programas que se copian datos entre sí.

3. Usuarios, roles y permisos

Cada persona entra con su usuario. Cada usuario tiene uno o más roles, y cada rol tiene permisos: qué puede ver, qué puede crear, qué puede modificar, qué puede autorizar. El organigrama real de una empresa con sistema es la tabla de permisos: dice, mucho mejor que cualquier dibujo con cajas, quién decide qué.

Reglas sanas, que un buen sistema permite configurar sin pedirle nada al proveedor:

• Nadie usa el usuario de otro. Si pasa, la auditoría no sirve, y la seguridad tampoco. Cada persona tiene el suyo, aunque sea un operario que solo cierra etapas en una tablet.
• Los permisos se dan por rol, no por persona. Cuando alguien cambia de puesto, cambia de rol. Cuando alguien se va, se desactiva su usuario y el rol queda para el que viene.
• Separación de funciones donde hay plata. Quien carga la factura de un proveedor no es quien la paga; quien ajusta stock no es quien hizo el conteo; quien cotiza no es quien autoriza un precio debajo del margen mínimo. No es desconfianza: es la regla más vieja del control interno, y la que piden los auditores y los bancos.
• El dueño ve todo, pero no por eso carga todo. Si el dueño es el único que puede autorizar, el dueño es el cuello de botella (libro de administración, capítulo 3). Las autorizaciones de rutina se delegan a roles con topes; las excepcionales quedan para el dueño.
• Mínimo privilegio. Cada rol ve y hace lo que necesita para su trabajo, y nada más. Producción no ve precios; ventas no ve sueldos; el colocador ve sus entregas del día.

4. Auditoría

El sistema guarda quién hizo cada cosa, cuándo, y el valor anterior cuando algo se modificó. No es vigilancia: es lo que permite reconstruir un error (el precio de lista que alguien cambió en Ancona), responder a una auditoría externa sin armar carpetas y, sobre todo, mejorar el proceso en lugar de buscar culpables, que es la lección de Deming del capítulo 3.

Qué debe quedar registrado como mínimo: todo cambio de estado de un documento; toda modificación de precios, costos, stock y datos fiscales; toda autorización de excepción con su motivo; todo acceso a información sensible (sueldos, márgenes). Si un sistema no tiene historial de cambios en precios, stock y estados, no es un sistema de gestión: es un formulario con memoria corta.

5. Copias de seguridad y continuidad

Las preguntas que hay que poder responder, y que Rosa no pudo:

• ¿Cada cuánto se copia la base? Diaria es el mínimo; en una empresa que carga en el momento, cada pocas horas.
• ¿Dónde? Fuera del servidor y, mejor, fuera del lugar: una copia en el mismo disco que se rompe no es una copia.
• ¿Quién probó restaurarla, y cuándo? Una copia que nunca se restauró es una esperanza. La prueba de restauración, una vez por trimestre, es la única forma de saber que la copia sirve.
• ¿Qué pasa si el servidor se rompe un lunes a las 9? Tiene que haber un plan escrito: en cuánto tiempo vuelve el sistema (horas, no días) y cuántos datos se pierden como máximo (los de las últimas horas, no de las últimas dos semanas).
• Si el proveedor desaparece, ¿tenés los datos en un formato que otro pueda leer? Eso se escribe en el contrato, no se supone. Y el "Excel exportado" no es un formato que otro sistema pueda usar: hace falta la base completa, con sus relaciones.

Ancona perdió dos semanas de movimientos por una copia quincenal sin prueba de restauración. La regla que lo evita cuesta poco: copia diaria automática fuera del servidor, prueba trimestral de restauración con acta, y un plan de recuperación de una página.

6. Nube o servidor propio

Para casi toda empresa chica y mediana, un servidor en la nube administrado por quien hace el sistema es más seguro y más barato que una máquina en la oficina: tiene copias automáticas, actualizaciones, alimentación y conexión redundantes, y no depende de que no se corte la luz ni de que el sobrino sepa de redes. Un servidor propio se justifica en plantas sin buena conexión a internet (y aun así conviene una nube con sincronización), o por una exigencia regulatoria concreta sobre dónde deben residir los datos.

Lo que no cambia con el lugar: los datos son tuyos, las copias tienen que existir fuera de ese lugar, y el acceso tiene que ser seguro (usuarios con contraseñas propias, conexión cifrada, y a ser posible un segundo factor para los roles que mueven plata).

7. Integraciones

Un sistema completo igual habla con afuera: facturación electrónica del organismo fiscal, bancos (extractos para conciliar cobros y pagos), tienda online (pedidos que entran solos), balanzas o máquinas que reportan producción, email y WhatsApp para avisos y seguimiento. Eso se hace por interfaces (API, application programming interface): el sistema pide o entrega datos por un canal definido, con reglas, sin que nadie recargue nada.

La integración vale la pena cuando el volumen la justifica y cuando el dato de afuera es confiable: la factura electrónica, siempre (es obligatoria y el volumen es toda la facturación); el extracto bancario, casi siempre (concilia cientos de movimientos); una balanza que pesa cada lote, cuando hay muchos lotes por día. Cuando algo no tiene API o tiene diez movimientos por mes, se carga a mano y listo; integrar por integrar es gastar en complejidad.

8. Las ocho preguntas para cualquier proveedor

1. ¿Todos los módulos usan la misma base de datos, o alguno copia datos a otro?
2. ¿Puedo definir roles y permisos yo, desde el sistema, sin pedírselos?
3. ¿Hay historial de cambios en precios, stock y estados? Mostrame uno.
4. ¿Cada cuánto hacen copias, dónde, y cuándo probaron restaurar? ¿Me dan el acta?
5. Si el servidor se rompe un lunes a las 9, ¿cuándo vuelvo a trabajar y cuánto pierdo?
6. Si dejamos de trabajar juntos, ¿cómo me llevo la base completa, en qué formato y en cuánto tiempo?
7. ¿Qué pasa cuando cambia la ley de facturación o el convenio de sueldos: quién lo actualiza y en cuánto tiempo?
8. ¿Quién capacita a mi gente, cuánto lleva y cómo medimos que lo usan?

Si alguna respuesta es vaga ("no se preocupe", "eso lo vemos", "le exportamos un Excel"), lo que te venden es una pantalla, no un sistema.

Ejemplo resuelto: el rediseño de permisos y continuidad en Ancona

Permisos. Rosa definió seis roles (Figura 2: vendedor, producción, colocadores, depósito, calidad y administrativo) con tres separaciones de funciones: cotizar y autorizar precio bajo mínimo (vendedor y Rosa); cargar factura de proveedor y pagarla (administrativo y Rosa, con tope: pagos hasta USD 500 los autoriza el administrativo senior); contar y ajustar stock (depósito cuenta, calidad ajusta con motivo). Producción dejó de ver precios; los colocadores solo ven sus entregas del día en el celular. Cada persona recibió su usuario; los tres "usuarios compartidos" se desactivaron.

Lo que costaba el modelo anterior. El cambio de precio de lista por error (un operario, desde un usuario compartido) se descubrió a los 20 días: 14 trabajos cotizados un 8 % por debajo, margen perdido USD 1.900. Pagos sin separación de funciones: no hubo fraude, pero sí dos facturas pagadas dos veces en el año, USD 1.400, recuperadas con tres meses de gestión; valor del tiempo y del costo financiero, USD 150 por mes. Y la pérdida de dos semanas de movimientos por la copia quincenal: recargar de memoria 50 órdenes de trabajo y 130 movimientos de stock y de compras (60 horas, USD 540) y tres entregas facturadas de menos que nunca se recuperaron (USD 900).

Continuidad. El nuevo contrato fija: copia cada seis horas a un almacenamiento en otro proveedor; prueba de restauración trimestral con acta; recuperación en menos de ocho horas con pérdida máxima de seis horas de datos; entrega de la base completa en formato estándar (SQL) en diez días hábiles si termina el contrato; actualización fiscal en cinco días hábiles de publicada la norma. Nada de eso encareció el sistema más de un 6 % mensual; el episodio de las dos semanas había costado más que un año de esa diferencia.

Auditoría. Historial de cambios activado en precios, stock, estados y datos fiscales; informe mensual de excepciones autorizadas (en el primer mes, cuatro; dos de ellas del mismo vendedor con el mismo cliente, lo que derivó en una política escrita para ese cliente).

Ejercicios

Ejercicio 1 · Diseño: los roles de Distribuidora Lamas

Distribuidora Lamas tiene: 8 vendedores en la calle, 2 personas de depósito, 1 encargado de compras, 2 administrativos, 1 responsable comercial y el dueño. Diseñá los roles con sus permisos principales (ver, crear, modificar, autorizar) para pedidos, precios, stock, compras, facturas y pagos, aplicando mínimo privilegio y separación de funciones.

Solución

Separaciones: contar (depósito) y ajustar (compras); cargar factura de proveedor (compras) y pagar (administrativo); cotizar (vendedor) y autorizar descuento (comercial). Nadie, salvo el dueño y el comercial, ve márgenes.

Ejercicio 2 · Cálculo: cuánto vale una copia de seguridad en Plásticos Carranza

Plásticos Carranza carga en el sistema unas 40 transacciones por hora en turno (órdenes, etapas, movimientos, pedidos), 16 horas por día. Recargar una transacción perdida de memoria lleva 6 minutos de un administrativo (USD 9 la hora) y tiene un 10 % de probabilidad de quedar mal (costo promedio del error: USD 60). El proveedor ofrece tres planes de copia: diaria (pérdida máxima 24 horas), cada 6 horas, y continua (pérdida máxima 15 minutos), a USD 0, 40 y 120 adicionales por mes. Se estima una falla grave cada dos años.

Calculá el costo esperado por mes de cada plan (costo de recarga más errores, prorrateado) y elegí.

Solución

Transacciones perdidas en el peor caso: diaria 40 × 16 = 640; cada 6 horas: 240; continua: 10.

Costo de una falla: recarga (transacciones × 6 min × USD 9/h) + errores (transacciones × 10 % × USD 60).

• Diaria: 640 × 0,1 h × 9 = 576 + 640 × 0,1 × 60 = 3.840 → USD 4.416 por falla; prorrateado a 24 meses: USD 184 por mes, más USD 0 de plan: USD 184.
• Cada 6 horas: 240 → 216 + 1.440 = USD 1.656 por falla; USD 69 por mes + 40 de plan: USD 109.
• Continua: 10 → 9 + 60 = USD 69 por falla; USD 3 por mes + 120 de plan: USD 123.

Gana la copia cada 6 horas, por poco sobre la continua; si Carranza crece o las fallas son más frecuentes, la continua pasa a ser la mejor. Lo que no entra en la cuenta y decide más: sin prueba de restauración, los tres planes valen cero. La elección es "cada 6 horas, con prueba trimestral".

Ejercicio 3 · Diagnóstico: las respuestas de un proveedor a Estudio Varela

Estudio Varela evalúa un sistema y recibió estas respuestas a las ocho preguntas. Para cada una, decí si es aceptable y qué repreguntarías.

1. "Los módulos de proyectos y de facturación se sincronizan todas las noches."
2. "Los permisos los definen ustedes desde el panel de administración, por rol."
3. "El historial de cambios está en precios y estados; en horas cargadas no, para que sea más rápido."
4. "Copia diaria a otro centro de datos; la restauración la probamos en cada actualización, con acta."
5. "Si se rompe el servidor, en el día estamos de vuelta."
6. "Al terminar el contrato, exportamos la base completa en SQL en diez días."
7. "Las actualizaciones fiscales salen en la semana de publicada la norma."
8. "Capacitamos al administrador del estudio y él capacita al resto."

Solución

1. No aceptable: es una copia nocturna; entre copia y copia, las horas del proyecto y la factura difieren. Repreguntar: ¿por qué no comparten la base? ¿Qué pasa si la sincronización falla?
2. Aceptable.
3. No aceptable: las horas son el dato de costo de un estudio; sin historial, no hay auditoría de lo que más importa. Repreguntar: ¿se puede activar? ¿Qué cuesta en velocidad, de verdad?
4. Aceptable, y mejor que el promedio.
5. Vago: "en el día" no dice cuántas horas ni cuántos datos se pierden. Repreguntar: tiempo máximo de recuperación y pérdida máxima de datos, por escrito.
6. Aceptable.
7. Aceptable si queda por contrato.
8. A medias: delegar toda la capacitación en una persona del estudio funciona si esa persona existe y tiene tiempo; repreguntar quién capacita si esa persona se va, y cómo se mide el uso.

Ejercicio 4 · Para tu empresa

Hacé la lista de todas las personas que usan (o usarían) tu sistema y asignale a cada una un rol; marcá dónde hay plata (pagos, ajustes de stock, precios) y verificá que haya dos roles distintos en cada caso. Después respondé las cinco preguntas de la sección 5 sobre tu situación actual (aunque sean planillas: ¿dónde está la copia de la planilla de cotizaciones?). Por último, elegí tu proveedor actual o uno que estés evaluando y hacele las ocho preguntas por escrito; guardá las respuestas.

Errores comunes

• Comprar por la cantidad de módulos sin preguntar si comparten la base.
• Usuarios compartidos ("el de depósito", "el de ventas"): destruyen la auditoría y la seguridad.
• El dueño como único autorizador. Topes por rol para lo de rutina; el dueño para lo excepcional.
• Una copia que nunca se restauró. Es una esperanza, no una copia.
• "Los datos están seguros con el proveedor." Los datos son tuyos y tienen que poder salir enteros; eso va en el contrato.
• Integrar todo con todo. La integración vale cuando el volumen y la confiabilidad del dato la justifican.
• Servidor en la oficina "para tenerlo cerca". Más caro, menos seguro, y la copia suele estar en el mismo edificio que el incendio.

Cómo se conecta con el resto del libro

Las tres capas sostienen todo lo que sigue: los módulos de la parte II en adelante son pantallas y reglas sobre la misma base; los roles y permisos de este capítulo son los responsables de cada transición del capítulo 3 y, en el libro de administración, los roles escritos del capítulo 21; la continuidad y las integraciones vuelven en los capítulos 39 y 40 de la parte VIII. Y las ocho preguntas son el puente al capítulo 5: genérico, a medida o mezcla, y qué exigir en los tres casos.

Resumen en cinco líneas

1. Un sistema tiene tres capas, datos, reglas y pantallas, y su separación permite cambiar unas sin romper otras; los datos son el activo y son tuyos.
2. Un ERP es completo cuando todos los módulos trabajan sobre la misma base; la copia nocturna entre programas es una isla con disfraz.
3. La tabla de permisos es el organigrama real: por rol, con mínimo privilegio y separación de funciones donde hay plata.
4. La auditoría registra quién cambió qué y cuándo; sirve para corregir procesos, responder auditorías y proteger la empresa.
5. La continuidad se escribe en el contrato: copias fuera del lugar, prueba de restauración, tiempos de recuperación y entrega de la base completa; y las ocho preguntas desnudan a cualquier proveedor.

Preguntas de repaso

1. ¿Por qué importa que las pantallas estén separadas de las reglas? Porque se pueden rediseñar pantallas (que es lo que más cambia con el uso) sin tocar cómo se calculan costos o se mueven estados, y porque los datos quedan independientes del programa que los muestra: son tuyos.

2. Dos programas "se sincronizan cada noche". ¿Qué problema concreto aparece a las 11 de la mañana? Dos verdades: el stock que ve el vendedor es el de la copia de las 3 de la mañana y el del depósito es el real; se promete lo que no hay y nadie se entera hasta el reclamo.

3. ¿Qué es la separación de funciones y dónde se aplica primero? Que dos roles distintos intervengan donde hay plata: cargar y pagar, contar y ajustar, cotizar y autorizar precio bajo mínimo. Se aplica primero en pagos y stock.

4. ¿Por qué una copia de seguridad sin prueba de restauración "vale cero"? Porque no se sabe si sirve hasta que se la necesita, y ese es el peor momento para descubrir que estaba corrupta o incompleta. La prueba trimestral con acta es la única garantía.

5. ¿Cuándo conviene integrar un sistema externo por API y cuándo cargar a mano? Cuando el volumen es alto y el dato de afuera es confiable (factura electrónica, extracto bancario); con diez movimientos por mes o datos poco confiables, cargar a mano es más barato y más seguro.

Conceptos clave

• Tres capas: datos (la base), reglas (el código que decide qué se puede hacer) y pantallas (lo que ve cada rol).
• Base de datos única: todos los módulos leen y escriben los mismos registros; condición del ERP completo.
• Sincronización: copia periódica de datos entre programas separados; produce dos verdades entre copias.
• Usuario, rol y permiso: la persona que entra, el conjunto de responsabilidades que ocupa y lo que ese conjunto puede ver, crear, modificar o autorizar.
• Mínimo privilegio: cada rol ve y hace solo lo que necesita.
• Separación de funciones: dos roles distintos en los pasos donde hay plata; regla básica del control interno.
• Huella de auditoría: registro de quién cambió qué, cuándo y desde qué valor.
• Copia de seguridad y prueba de restauración: copia de la base fuera del lugar y verificación periódica de que se puede recuperar.
• Tiempo de recuperación y pérdida máxima de datos: cuánto tarda en volver el sistema y cuántas horas de datos se pierden como máximo; se escriben en el contrato.
• API (interfaz): canal definido por el que un sistema intercambia datos con otro sin recarga manual.

Referencias

• Codd, Edgar F. "A Relational Model of Data for Large Shared Data Banks". Communications of the ACM, 1970.
• Deming, W. Edwards. Out of the Crisis. MIT Press, 1986.
• ISO/IEC 27001:2022. Seguridad de la información, ciberseguridad y protección de la privacidad. Sistemas de gestión de la seguridad de la información. Requisitos. Organización Internacional de Normalización.

Lo que sigue

Con la caja abierta, el capítulo 5 es la decisión: genérico, a medida o una mezcla, y qué conviene según el tamaño y, sobre todo, según cómo cotiza tu empresa. Si querés hacerle las ocho preguntas a tu proveedor con alguien que sepa leer las respuestas, Alex las revisa con vos.